Summer.fi verliest miljoenen door hack: DeFi-protocol legt vaults direct stil

Hack misbruikt fout in geautomatiseerde vaults

De aanval kwam aan het licht nadat beveiligingsbedrijven Blockaid, PeckShield en CertiK verdachte transacties hadden ontdekt. Niet veel later bevestigde Summer.fi dat de getroffen vaults waren gepauzeerd om verdere schade te voorkomen.

Volgens de eerste analyses maakte de aanvaller gebruik van een flash loan. Dat is een lening die binnen één blockchaintransactie wordt afgesloten en direct wordt terugbetaald. Hoewel deze techniek een legitieme toepassing heeft binnen DeFi, kunnen hackers er misbruik van maken wanneer een protocol een fout in de software bevat.

Bij Summer.fi wist de aanvaller de administratie van geautomatiseerde USDC-vaults te manipuleren. Daardoor leek het alsof de vault over meer vermogen beschikte dan daadwerkelijk het geval was. Vervolgens kon de hacker deze kunstmatig verhoogde waarde verzilveren en miljoenen dollars aan crypto opnemen.

De buit werd daarna omgezet naar de stablecoin DAI via Curve en doorgestuurd naar de wallet van de aanvaller.

Wat zijn Lazy Summer-vaults?

Lazy Summer is een geautomatiseerd rendementssysteem binnen Summer.fi. Gebruikers storten hun crypto in een vault, waarna het protocol het kapitaal automatisch verdeelt over leenplatformen zoals Aave en Morpho. Het systeem zoekt voortdurend naar de beste rente en verplaatst tegoeden wanneer dat een hoger rendement oplevert.

Dit maakt beleggen eenvoudiger voor gebruikers, maar betekent ook dat een fout in de onderliggende software grote gevolgen kan hebben.

Koers SUMR onder druk

De hack had direct gevolgen voor het vertrouwen in het protocol. Volgens gegevens van DeFiLlama beheerde Summer.fi vóór de aanval ongeveer 22 miljoen dollar aan Total Value Locked (TVL). TVL is de totale waarde van alle crypto die gebruikers in een protocol hebben vastgezet.

Na het bekend worden van de hack verloor de SUMR-token ruim 18% van zijn waarde. Summer.fi onderzoekt nog hoe de aanval precies kon plaatsvinden en heeft nog geen definitieve informatie gedeeld over een mogelijke vergoeding voor getroffen gebruikers.

DeFi blijft aantrekkelijk, maar risico’s verdwijnen niet

De aanval op Summer.fi laat zien dat geautomatiseerde DeFi-platformen aantrekkelijke rendementen kunnen bieden, maar ook technische risico’s met zich meebrengen. Zelfs protocollen die al langere tijd actief zijn, kunnen kwetsbaar blijken wanneer een fout in de code over het hoofd wordt gezien.

Voor beleggers blijft het daarom verstandig om niet alleen naar het verwachte rendement te kijken, maar ook naar de beveiliging, audits en de reputatie van een protocol voordat zij hun crypto vastzetten.

Conclusie

De Summer.fi hack kostte het protocol ongeveer 6 miljoen dollar en dwong het team om meerdere vaults direct stil te leggen. De vermoedelijke flash loan-aanval maakte misbruik van een fout in de software, waardoor de aanvaller geld kon onttrekken. Het incident benadrukt opnieuw dat veiligheid een van de belangrijkste aandachtspunten blijft binnen de snelgroeiende DeFi-sector.

Veelgestelde vragen

Wat is Summer.fi?

Summer.fi is een DeFi-platform op Ethereum waarmee gebruikers automatisch rendement kunnen verdienen door hun crypto over verschillende leenprotocollen te verdelen.

Wat is een flash loan?

Een flash loan is een lening zonder onderpand die volledig binnen één blockchaintransactie wordt afgesloten en terugbetaald. Hackers gebruiken deze techniek soms om kwetsbaarheden in DeFi-protocollen uit te buiten.

Wat betekent Total Value Locked (TVL)?

TVL staat voor Total Value Locked. Dit is de totale waarde van alle cryptovaluta die gebruikers in een DeFi-protocol hebben vastgezet en geeft een indruk van de omvang van het platform.